Instituto Nacional de ciberseguridad. Sección Incibe
Instituto Nacional de Ciberseguridad. Sección INCIBE-CERT

Vulnerabilidades

Con el objetivo de informar, advertir y ayudar a los profesionales sobre las ultimas vulnerabilidades de seguridad en sistemas tecnológicos, ponemos a disposición de los usuarios interesados en esta información una base de datos con información en castellano sobre cada una de las ultimas vulnerabilidades documentadas y conocidas.

Este repositorio con más de 75.000 registros esta basado en la información de NVD (National Vulnerability Database) – en función de un acuerdo de colaboración – por el cual desde INCIBE realizamos la traducción al castellano de la información incluida. En ocasiones este listado mostrará vulnerabilidades que aún no han sido traducidas debido a que se recogen en el transcurso del tiempo en el que el equipo de INCIBE realiza el proceso de traducción.

Se emplea el estándar de nomenclatura de vulnerabilidades CVE (Common Vulnerabilities and Exposures), con el fin de facilitar el intercambio de información entre diferentes bases de datos y herramientas. Cada una de las vulnerabilidades recogidas enlaza a diversas fuentes de información así como a parches disponibles o soluciones aportadas por los fabricantes y desarrolladores. Es posible realizar búsquedas avanzadas teniendo la opción de seleccionar diferentes criterios como el tipo de vulnerabilidad, fabricante, tipo de impacto entre otros, con el fin de acortar los resultados.

Mediante suscripción RSS o Boletines podemos estar informados diariamente de las ultimas vulnerabilidades incorporadas al repositorio.

Vulnerabilidad en el directorio de ayuda de Veeam Management Pack for Microsoft System Center (CVE-2022-32225)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se ha detectado una vulnerabilidad de tipo XSS basada en DOM reflejado en el directorio de ayuda de Veeam Management Pack for Microsoft System Center versión 8.0. Esta vulnerabilidad podría ser explotada por un atacante al convencer a un usuario legítimo de visitar una URL diseñada en un servidor de Veeam Management Pack for Microsoft System Center, permitiendo una ejecución de scripts arbitrarios
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/07/2022

Vulnerabilidad en el escaneo del componente aeheur.dll en F-Secure Atlant y determinados productos WithSecure (CVE-2022-28876)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se ha detectado una vulnerabilidad de denegación de servicio (DoS) en F-Secure Atlant y en determinados productos WithSecure por la que el escaneo del componente aeheur.dll puede bloquear el motor de escaneo. La explotación puede ser desencadenado remotamente por un atacante
Gravedad CVSS v3.1: ALTA
Última modificación:
21/07/2022

Vulnerabilidad en Node.js (CVE-2022-32212)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se presenta una vulnerabilidad de inyección de comandos en el Sistema Operativo en Node.js versiones anteriores a 14.20.0, anteriores a 16.16.0, anteriores a 18.5.0, debido a una comprobación insuficiente de IsAllowedHost que puede ser fácilmente omitida porque IsIPAddress no comprueba correctamente si una dirección IP no es válida antes de realizar peticiones DBS permitiendo ataques de reenganche.
Gravedad CVSS v3.1: ALTA
Última modificación:
23/02/2023

Vulnerabilidad en Node.js en linux (CVE-2022-32222)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se presenta una vulnerabilidad criptográfica en Node.js en linux en versiones 18.x anteriores a 18.40.0, que permitía una ruta por defecto para openssl.cnf que podría ser accesible en algunas circunstancias para un usuario no administrador en lugar de /etc/ssl como era el caso en las versiones anteriores a la actualización a OpenSSL 3
Gravedad CVSS v3.1: MEDIA
Última modificación:
24/07/2023

Vulnerabilidad en pki-core (CVE-2022-2393)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se ha encontrado un fallo en pki-core, que podría permitir a un usuario conseguir un certificado para otra identidad de usuario cuando la autenticación basada en el directorio está habilitada. Este fallo permite a un atacante autenticado en la red adyacente hacerse pasar por otro usuario dentro del ámbito del dominio, pero no podría descifrar el contenido de los mensajes
Gravedad CVSS v3.1: MEDIA
Última modificación:
30/06/2023

Vulnerabilidad en los encabezados Transfer-Encoding en el analizador llhttp en el módulo http en Node.js (CVE-2022-32213)

Fecha de publicación:
14/07/2022
Idioma:
Español
El analizador llhttp anteriores a la versión v14.20.1, anteriores a la versión v16.17.1 y anteriores a la versión v18.9.1 del módulo http en Node.js no analiza y valida correctamente las cabeceras Transfer-Encoding y puede dar lugar a HTTP Request Smuggling (HRS)
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en el parser llhttp en el módulo http en Node.js (CVE-2022-32214)

Fecha de publicación:
14/07/2022
Idioma:
Español
El parser llhttp anteriores a la versión v14.20.1, anteriores a la versión v16.17.1 y anteriores a la versión v18.9.1 del módulo http en Node.js no utiliza estrictamente la secuencia CRLF para delimitar las peticiones HTTP. Esto puede llevar a un contrabando de peticiones HTTP (HRS)
Gravedad CVSS v3.1: MEDIA
Última modificación:
19/07/2023

Vulnerabilidad en los encabezados Transfer-Encoding en el analizador llhttp del módulo http en Node (CVE-2022-32215)

Fecha de publicación:
14/07/2022
Idioma:
Español
El parser llhttp anteriores a la versión v14.20.1, anteriores a la versión v16.17.1 y anteriores a la versión v18.9.1 del módulo http en Node.js no maneja correctamente las cabeceras Transfer-Encoding de varias líneas. Esto puede llevar al contrabando de solicitudes HTTP (HRS)
Gravedad CVSS v3.1: MEDIA
Última modificación:
07/11/2023

Vulnerabilidad en convert2rhel (CVE-2022-1662)

Fecha de publicación:
14/07/2022
Idioma:
Español
En convert2rhel, se presenta un ansible playbook llamado ansible/run-convert2rhel.yml que pasa la contraseña del usuario de Red Hat Subscription Manager por medio de la CLI a convert2rhel. Esto podría permitir a usuarios locales no autorizados visualizar la contraseña por medio de la lista de procesos mientras convert2rhel esta siendo ejecutando. Sin embargo, este ansible playbook es sólo un ejemplo en el repositorio upstream y no está incluido en las versiones oficialmente soportadas de convert2rhel
Gravedad CVSS v3.1: MEDIA
Última modificación:
20/07/2022

Vulnerabilidad en algunos modelos de teléfonos Xiaomi (CVE-2020-14127)

Fecha de publicación:
14/07/2022
Idioma:
Español
Se presenta una vulnerabilidad de denegación de servicio en algunos modelos de teléfonos Xiaomi. La vulnerabilidad es causada por un desbordamiento de la pila y puede ser explotada por atacantes para hacer una denegación de servicio remota
Gravedad CVSS v3.1: ALTA
Última modificación:
20/07/2022

Vulnerabilidad en petición GET a la página de Herramientas del sistema de la red Wi-Fi en el demonio httpd en los dispositivos TP-Link TL-WR841N V12 (CVE-2022-30024)

Fecha de publicación:
14/07/2022
Idioma:
Español
Un desbordamiento de búfer en el demonio httpd en los dispositivos TP-Link TL-WR841N V12 (versión de firmware 3.16.9) permite a un atacante remoto autenticado ejecutar código arbitrario por medio de una petición GET a la página de Herramientas del sistema de la red Wi-Fi. Esto afecta a los dispositivos TL-WR841 V12 TL-WR841N(EU)_V12_160624 y TL-WR841 V11 TL-WR841N(EU)_V11_160325 , TL-WR841N_V11_150616 y TL-WR841 V10 TL-WR841N_V10_150310 también están afectados
Gravedad CVSS v3.1: ALTA
Última modificación:
14/02/2024

Vulnerabilidad en los endpoints RPC de CRTC y ODU dependen de un nombre de usuario/contraseña de cuenta estática para el control de acceso en los dispositivos Verizon 5G Home LVSKIHP InDoorUnit (IDU) y OutDoorUnit (ODU) (CVE-2022-28377)

Fecha de publicación:
14/07/2022
Idioma:
Español
En los dispositivos Verizon 5G Home LVSKIHP InDoorUnit (IDU) versión 3.4.66.162 y OutDoorUnit (ODU) versión 3.33.101.0, los endpoints RPC de CRTC y ODU dependen de un nombre de usuario/contraseña de cuenta estática para el control de acceso. Esta contraseña puede generarse por medio de un binario incluido en el firmware, después de averiguar la dirección MAC de la interfaz Ethernet base de la IDU, y añadir la cadena DEVICE_MANUFACTURER="Wistron_NeWeb_Corp." a /etc/device_info para replicar el entorno del host. Esto ocurre en /etc/init.d/wnc_factoryssidkeypwd (IDU)
Gravedad CVSS v3.1: ALTA
Última modificación:
21/07/2022